お問い合わせ
速報攻撃キャンペーン

Lazarusが韓国の業務端末を攻撃、常駐するセキュリティソフトからマルウェアを展開

執筆　
影響を受けるもの
  • 韓国の業務端末と現地拠点
  • INISAFE CrossWeb EXを導入したWindows端末
  • 端末内のファイル・ブラウザー情報
  • GitHubやDropboxへの外向き通信

Kasperskyは10月21日、韓国のソフトウェア、建設、有線通信機器製造の少なくとも3組織を狙ったOperation FlashHoleを報告した。Lazarusとの関連を中程度から高い確信度で評価し、業務端末で複数のマルウェアを確認した。金融・行政サイトの利用に伴って導入されるCrossWeb EXが感染の連鎖に使われていた。[1]

調査では、CrossWeb EXのプロセスからWindowsの正規プログラムが起動し、メモリー上へマルウェアが読み込まれていた。攻撃にはGitHubの非公開リポジトリやDropboxを通信に使う部品も含まれる。報告は2025年7月以降の活動を追跡し、端末を調べる部品やファイルを集める部品、常駐用サービスを分析している。[1]

企業の担当者は、韓国拠点などで導入した常駐ソフトと、そこから起動するプログラムを点検したい。Kasperskyが示すファイル、サービス、通信先の痕跡を端末・ネットワークのログと照合し、正規クラウドへの通信も実行元と合わせて調べる。業務で使うセキュリティソフトを含め、導入の必要性と更新状況を管理することが重要になる。[1]

担当者が確かめること

  1. 韓国拠点を含む端末台帳でCrossWeb EXの導入端末とバージョンを洗い出し、業務上の必要性と提供元の更新案内を確認する。
  2. EDRでINISAFECrossWebEXSvc.exeを親に持つfsquirt.exeの起動を調べ、担当者へ不審な実行を引き継ぐ。
  3. 端末でWindowsのRasConvフォルダー内のImeBroker.exeやmscoree.dll、関連サービスを調べ、報告の痕跡と照合する。
  4. GitHubやDropboxへの通信ログを実行元プロセスと照合し、業務で説明できないアクセスを調査する。
SERVICE最新AIペネトレーションテスト悪用される前に、弱点を洗い出す。公開Web・API・クラウド・社内システムまで、合意した範囲だけを、攻撃者と同じ最新のAI攻撃ツールで試します。報告は今日直すものに絞って優先順位をつけ、修正後の再検証まで行います。
相談するサービスの詳細を見る
出典
  1. Kaspersky「Operation FlashHole: Lazarus breaks security, defies control」
タグ#Lazarus#FlashHole#Windows#韓国#常駐ソフト